So sánh Chi tiết Chứng chỉ OSCP+ và eCPPT

Báo cáo này cung cấp một phân tích so sánh toàn diện, dựa trên dữ liệu khách quan giữa hai chứng chỉ kiểm thử xâm nhập chuyên nghiệp: Offensive Security Certified Professional (OSCP), cụ thể là phiên bản OSCP+ sau ngày 01 tháng 11 năm 2024, và eLearnSecurity Certified Professional Penetration Tester (eCPPT). Phân tích tập trung vào các khía cạnh lý thuyết, chương trình đào tạo, bài thi thực hành, và mô hình chi phí, hoàn toàn không sử dụng các ý kiến chủ quan.

Phần 1: Giới thiệu Tổng quan và Khung Chứng chỉ

Phần này giới thiệu các tổ chức đứng sau hai chứng chỉ, triết lý đào tạo đặc trưng của họ, và cấu trúc hành chính, bao gồm thời hạn hiệu lực và các yêu cầu tái chứng nhận.

1.1 Giới thiệu Tổ chức và Triết lý Đào tạo

Sự khác biệt cơ bản giữa OSCP và eCPPT bắt nguồn từ triết lý đào tạo của hai tổ chức cấp chứng chỉ.

Offensive Security (OffSec), đơn vị phát triển OSCP, nổi tiếng toàn cầu với triết lý “Try Harder”.¹ Triết lý này không chỉ là một khẩu hiệu mà còn là phương pháp sư phạm cốt lõi, nhấn mạnh vào việc rèn luyện tư duy bền bỉ, khả năng tự nghiên cứu và giải quyết vấn đề một cách độc lập. OffSec chủ trương cung cấp cho học viên các công cụ và môi trường thực hành, nhưng hiếm khi đưa ra câu trả lời trực tiếp. Thay vào đó, học viên được khuyến khích học hỏi từ thất bại, tự tìm tòi và phát triển “tư duy của kẻ tấn công” (adversarial mindset), một kỹ năng được các nhà tuyển dụng đánh giá rất cao.¹

Ngược lại, INE (trước đây là eLearnSecurity), đơn vị cấp chứng chỉ eCPPT, áp dụng một phương pháp tiếp cận có cấu trúc và toàn diện hơn.⁴ INE cung cấp một hệ sinh thái học tập rộng lớn, trong đó khóa học chuẩn bị cho eCPPT (Penetration Testing Professional – PTP) trang bị cho học viên một nền tảng lý thuyết sâu rộng trước khi bước vào thực hành. Các bài lab thực hành (Hera Labs) được thiết kế với mục tiêu, gợi ý và giải pháp chi tiết có sẵn, đảm bảo học viên có thể nắm vững các khái niệm và kỹ thuật một cách bài bản trước khi đối mặt với thử thách lớn hơn.⁵

1.2 Cấu trúc, Thời hạn Hiệu lực và Yêu cầu Tái chứng nhận

Sự thay đổi gần đây của OffSec đã tạo ra một điểm tương đồng nhưng cũng làm nổi bật sự khác biệt trong cách tiếp cận về giá trị lâu dài của chứng chỉ.

OSCP và OSCP+ (sau 01/11/2024)

Kể từ ngày 01 tháng 11 năm 2024, OffSec áp dụng một mô hình chứng chỉ kép. Khi một thí sinh thi đỗ bài thi OSCP cập nhật, họ sẽ nhận được cả hai chứng chỉ 8:

OSCP (OffSec Certified Professional): Chứng chỉ này có giá trị vĩnh viễn. Những người đã sở hữu OSCP trước ngày thay đổi vẫn giữ nguyên giá trị chứng chỉ của mình mà không cần thực hiện thêm hành động nào.⁹
OSCP+ (OffSec Certified Professional Plus): Chứng chỉ này có thời hạn hiệu lực 3 năm và được thiết kế để phản ánh sự cam kết của người sở hữu đối với việc học tập liên tục và cập nhật các tiêu chuẩn ngành mới nhất.⁸

Để duy trì hậu tố “+”, người sở hữu phải hoàn thành một trong ba lộ trình giáo dục thường xuyên (Continuing Professional Education – CPE) trong vòng ba năm ⁸:

Thi đỗ một bài thi tái chứng nhận trong vòng 6 tháng trước khi OSCP+ hết hạn.
Đạt được một chứng chỉ OffSec khác đủ điều kiện, chẳng hạn như OSEP (OffSec Experienced Penetration Tester), OSWA (OffSec Web Assessor), hoặc OSED (OffSec Exploit Developer).
Hoàn thành chương trình CPE mới của OffSec.

eCPPT (eLearnSecurity Certified Professional Penetration Tester)

Chứng chỉ eCPPT, đặc biệt là các phiên bản mới được phát hành từ năm 2024, có một cấu trúc đơn giản hơn: thời hạn hiệu lực là 3 năm kể từ ngày cấp.10 Việc này đảm bảo rằng các kỹ năng của người sở hữu chứng chỉ được xác nhận là phù hợp với bối cảnh công nghệ và các mối đe dọa hiện tại. Không có hệ thống tái chứng nhận phức tạp được nêu chi tiết; thông thường, việc duy trì chứng chỉ yêu cầu thi lại bài thi sau khi hết hạn.

Sự ra đời của OSCP+ đánh dấu một sự thay đổi chiến lược quan trọng của OffSec. Trong nhiều năm, giá trị “vĩnh viễn” là một đặc điểm độc đáo của OSCP. Tuy nhiên, với tốc độ phát triển chóng mặt của ngành an ninh mạng, các kỹ năng được chứng nhận cách đây 5-10 năm có thể không còn phù hợp. Các nhà tuyển dụng ngày càng yêu cầu bằng chứng về chuyên môn hiện tại.⁸ Việc OffSec giới thiệu OSCP+ với chu kỳ gia hạn 3 năm, tương tự như mô hình đã được eCPPT và nhiều chứng chỉ khác áp dụng, cho thấy một sự hội tụ của thị trường. Các chứng chỉ thực hành hàng đầu đang dần tiến tới một tiêu chuẩn chung, đó là yêu cầu học tập liên tục và tái xác nhận định kỳ để đảm bảo giá trị và sự phù hợp của người sở hữu trong mắt ngành công nghiệp.

Bảng 1: Tổng quan Khung Chứng chỉ

Tiêu chí	OSCP+	eCPPT
Đơn vị cấp	Offensive Security (OffSec)	INE (eLearnSecurity)
Triết lý cốt lõi	“Try Harder” – Tự học, bền bỉ, tư duy tấn công	Có cấu trúc – Nền tảng lý thuyết vững chắc, thực hành có hướng dẫn
Thời hạn hiệu lực	OSCP: Vĩnh viễnOSCP+: 3 năm	3 năm
Yêu cầu tái chứng nhận	Thi lại, đạt chứng chỉ khác, hoặc hoàn thành chương trình CPE	Yêu cầu thi lại sau khi hết hạn
Đối tượng mục tiêu	Chuyên gia muốn chứng minh kỹ năng thực chiến sắc bén, đặc biệt là pentest hệ thống	Chuyên gia muốn chứng minh năng lực pentest toàn diện, bao gồm cả kỹ năng viết báo cáo chuyên nghiệp

Phần 2: Phân tích So sánh Chương trình Đào tạo (Lý thuyết)

Phần này đi sâu vào nội dung học thuật của hai khóa học chuẩn bị: PEN-200 cho OSCP và Penetration Testing Professional (PTP) cho eCPPT, từ yêu cầu đầu vào đến các module kỹ thuật chi tiết.

2.1 Yêu cầu Đầu vào và Đối tượng Học viên

Cả hai chứng chỉ đều nhắm đến các chuyên gia có nền tảng kỹ thuật nhất định.

OSCP (PEN-200) yêu cầu học viên có kiến thức nền tảng vững chắc, bao gồm: hiểu biết sâu về mạng TCP/IP, kinh nghiệm quản trị hệ thống Windows và Linux ở mức hợp lý, và quen thuộc với việc viết kịch bản cơ bản bằng Bash hoặc Python.¹¹ Đối tượng mục tiêu là các chuyên gia an ninh thông tin muốn chuyển sang lĩnh vực kiểm thử xâm nhập, quản trị viên mạng và hệ thống, hoặc bất kỳ ai muốn bắt đầu sự nghiệp trong lĩnh vực an ninh tấn công.¹⁴

eCPPT (PTP) cũng yêu cầu một sự hiểu biết kỹ thuật cao về mạng, hệ thống và các cuộc tấn công ứng dụng web.⁵ Khóa học này được định vị là bước tiếp theo sau chứng chỉ eJPT (eLearnSecurity Junior Penetration Tester), một chứng chỉ cấp độ nhập môn.¹⁶ Do đó, đối tượng của eCPPT là những người đã có kiến thức cơ bản về pentest và muốn nâng cao kỹ năng lên cấp độ chuyên nghiệp.

2.2 Cấu trúc Khóa học và Môi trường Lab Thực hành

Phương pháp cung cấp tài liệu và môi trường thực hành của hai tổ chức thể hiện rõ triết lý đào tạo của họ.

Khóa học PEN-200 của OffSec bao gồm hơn 20 module học tập, được cung cấp qua tài liệu PDF, video và các bài tập thực hành đi kèm mỗi module.¹ Điểm đặc biệt của PEN-200 là hệ thống

Challenge Labs. Sau khi hoàn thành các module cơ bản, học viên được tiếp cận một mạng lab ảo rộng lớn, được chia sẻ với các học viên khác và được coi là một “môi trường thù địch”.² Trong môi trường này, các máy có thể bị thay đổi hoặc khai thác bởi những người khác, buộc học viên phải rèn luyện khả năng thích ứng và xử lý các tình huống không lường trước. Ba trong số các Challenge Labs được thiết kế đặc biệt để mô phỏng gần giống cấu trúc và độ khó của bài thi OSCP+, giúp học viên làm quen với áp lực thi cử.¹

Khóa học PTP của INE được cấu trúc thành các phần lớn như System Security, Network Security, Web Application Security, mỗi phần lại chứa nhiều module nhỏ chi tiết.²⁰ Môi trường thực hành của INE, được gọi là

Hera Labs, cung cấp cho mỗi học viên một môi trường ảo riêng biệt và được quản lý.⁵ Điều này có nghĩa là học viên có thể thực hành mà không bị ảnh hưởng bởi người khác. Mỗi bài lab đều có mục tiêu rõ ràng, các gợi ý và một bản hướng dẫn giải pháp đầy đủ.⁶ Cách tiếp cận này giúp học viên tập trung hoàn toàn vào việc học và nắm vững một kỹ thuật cụ thể mà không bị phân tâm.

2.3 Phân tích Chi tiết Nội dung Kỹ thuật (Syllabus)

Sự khác biệt lớn nhất về mặt học thuật nằm ở phạm vi và trọng tâm của nội dung giảng dạy.

Nội dung của OSCP (PEN-200) tập trung vào các kỹ năng thực chiến cốt lõi và phổ biến nhất hiện nay. Các chủ đề chính bao gồm phương pháp luận pentest, thu thập thông tin, quét lỗ hổng, tấn công ứng dụng web (XSS, SQL Injection), và leo thang đặc quyền trên cả Windows và Linux.¹ Một thay đổi quan trọng trong các phiên bản gần đây là sự tập trung mạnh mẽ vào

tấn công Active Directory, một kỹ năng cực kỳ quan trọng trong môi trường doanh nghiệp. Lĩnh vực này chiếm tới 40% trọng số điểm trong bài thi OSCP+.¹ Để dành thời gian cho AD, chủ đề

Buffer Overflow mặc dù vẫn được dạy trong khóa học để cung cấp kiến thức nền tảng, nhưng đã bị loại bỏ hoàn toàn khỏi bài thi.²⁴ Ngoài ra, một module về tấn công môi trường đám mây AWS đã được thêm vào khóa học, nhưng tại thời điểm phân tích, nó chưa được đưa vào bài thi.⁹

Chương trình đào tạo của eCPPT (PTP) có phạm vi rộng hơn và đi sâu hơn vào một số lĩnh vực lý thuyết nền tảng. Ngoài việc bao quát các kỹ năng tương tự OSCP, PTP còn có các module chuyên sâu về:

System Security: Đi sâu vào kiến trúc hệ thống x86, ngôn ngữ Assembly, và đặc biệt là Buffer Overflow và Shellcoding. Không giống như OSCP, các kỹ năng này là một phần quan trọng và được kiểm tra trong bài thi eCPPT.¹⁷
Network Security: Ngoài các kỹ thuật cơ bản, PTP nhấn mạnh vào các kỹ thuật nâng cao như Pivoting (di chuyển giữa các mạng), tấn công Man-in-the-Middle, và các phương pháp lẩn tránh hệ thống phòng thủ.⁵
Các lĩnh vực mở rộng (trong PTPv5): Khóa học còn bao gồm các module riêng biệt về PowerShell for Pentesters, Wi-Fi Security, và Ruby for Pentesters, bao gồm cả việc viết các module cho Metasploit.²⁰
Active Directory: Các phiên bản mới của eCPPT cũng đã cập nhật và nhấn mạnh vào tấn công AD, phản ánh xu hướng của ngành, với trọng số có thể chiếm tới 30% trong một số cấu trúc đề thi.²⁵

Sự khác biệt trong nội dung giảng dạy này không phải là ngẫu nhiên. Nó phản ánh hai triết lý đào tạo nhân sự khác nhau. Bằng cách loại bỏ Buffer Overflow khỏi bài thi và tập trung vào Active Directory, OffSec đang ưu tiên đào tạo các kỹ năng có khả năng áp dụng ngay lập tức trong các môi trường doanh nghiệp phổ biến nhất. Mục tiêu của họ là tạo ra một “chuyên gia thực chiến” (operator), người có thể xâm nhập hiệu quả vào các mục tiêu thực tế. Ngược lại, việc eCPPT giữ lại và đi sâu vào các chủ đề nền tảng như kiến trúc hệ thống và buffer overflow cho thấy INE không chỉ muốn dạy “cách hack” mà còn muốn dạy “tại sao lại hack được như vậy”. Họ xây dựng một nền tảng kiến thức rộng và sâu, nhằm tạo ra một “kiến trúc sư an ninh” (architect), người có khả năng phân tích và hiểu sâu vấn đề ở cấp độ cấu trúc.

Bảng 2: So sánh Chi tiết Nội dung Đào tạo (Syllabus)

Lĩnh vực Kỹ thuật	OSCP (PEN-200)	eCPPT (PTP)	Ghi chú So sánh
Thu thập thông tin & Quét	Bao quát các kỹ thuật chủ động và thụ động, sử dụng các công cụ như Nmap. ²²	Rất chi tiết, bao gồm cả OSINT, quét nâng cao và các kỹ thuật lẩn tránh firewall/IDS. ²⁰	eCPPT đi sâu hơn vào các kỹ thuật lẩn tránh.
Tấn công Ứng dụng Web	Tập trung vào các lỗ hổng phổ biến như XSS, SQL Injection, File Inclusion, Command Injection. ¹	Bao quát rộng, bao gồm XSS, SQLi, CSRF, Session Attacks, Path Traversal, File Inclusion. ²⁰	Cả hai đều bao quát các lỗ hổng web cốt lõi.
Buffer Overflow & Exploit Dev	Được dạy trong khóa học nhưng không có trong bài thi. ²⁴	Một phần cốt lõi của khóa học và có trong bài thi. Bao gồm cả Shellcoding. ¹⁷	Đây là điểm khác biệt lớn nhất về mặt kỹ thuật.
Leo thang Đặc quyền	Bao quát các kỹ thuật leo thang đặc quyền trên Windows và Linux. ²⁴	Rất chi tiết, bao gồm các kỹ thuật leo thang trên Windows và Linux, khai thác SUID, sudo, kernel exploits. ²⁰	Cả hai đều mạnh về lĩnh vực này.
Tấn công Active Directory	Trọng tâm chính của bài thi (40%). Bao gồm tấn công xác thực và di chuyển ngang. ²³	Một phần quan trọng (khoảng 30%), bao gồm AS-REP Roasting, Pass-the-Hash/Ticket. ¹⁰	Cả hai đều tập trung mạnh vào AD, phản ánh nhu cầu của ngành.
Pivoting & Lateral Movement	Bao gồm Port Redirection và SSH Tunneling. Pivoting có thể được yêu cầu trong phần AD. ²⁴	Rất được nhấn mạnh, bao gồm cả double pivoting và các kỹ thuật pillaging sau khai thác. ⁵	eCPPT nhấn mạnh kỹ năng pivoting như một yêu cầu cốt lõi.
Kỹ thuật Lẩn tránh (AV)	Được đề cập trong khóa học. ¹	Được đề cập trong các module về Malware và Anonymity. ²⁰	Không phải là trọng tâm chính của cả hai chứng chỉ ở cấp độ này.
PowerShell	Được đề cập trong module Active Directory. ¹⁵	Có một module riêng “PowerShell for Pentesters” dạy cách sử dụng cho mục đích tấn công. ²⁰	eCPPT cung cấp kiến thức chuyên sâu hơn về PowerShell.
Tấn công Wi-Fi	Không có trong chương trình.	Có một module riêng về “Wi-Fi Security”. ²⁰	eCPPT bao quát một lĩnh vực tấn công vật lý mà OSCP bỏ qua.

Phần 3: Đánh giá Năng lực qua Bài thi Thực hành

Bài thi thực hành là nơi năng lực của thí sinh được thử thách và chứng minh. Cấu trúc, quy tắc và yêu cầu của hai bài thi này khác biệt một cách đáng kể, phản ánh hai cách đánh giá năng lực khác nhau.

3.1 Cấu trúc, Môi trường và Mục tiêu Bài thi

Bài thi OSCP+ là một thử thách kỹ thuật cường độ cao, diễn ra trong một khoảng thời gian ngắn và có giám sát.

Thời gian: 23 giờ 45 phút cho phần thực hành, diễn ra liên tục. Toàn bộ quá trình thi được giám sát qua webcam và chia sẻ màn hình (proctored).²³
Môi trường: Thí sinh được cấp quyền truy cập vào một mạng riêng ảo (VPN) chứa các máy mục tiêu. Cấu trúc bao gồm 3 máy chủ độc lập và một hệ thống Active Directory (gồm 1 Domain Controller và 2 máy client).²³
Mục tiêu: Đạt được tối thiểu 70 trên tổng số 100 điểm. Điểm được trao khi thí sinh chiếm được quyền truy cập cấp thấp (user – local.txt) và leo thang lên quyền quản trị cao nhất (root/Administrator – proof.txt) trên các máy mục tiêu. Cấu trúc điểm được phân bổ rõ ràng: 60 điểm cho các máy độc lập và 40 điểm cho hệ thống AD.²³

Bài thi eCPPT mô phỏng một dự án kiểm thử xâm nhập thực tế, với thời gian rộng rãi và không có giám sát.

Thời gian: Thí sinh có 7 ngày (168 giờ) để thực hiện phần tấn công thực hành. Sau đó, có thêm 7 ngày nữa để hoàn thành và nộp báo cáo. Bài thi không có giám sát (non-proctored).⁷
Môi trường: Thí sinh được cung cấp một “Thư giao kèo” (Letter of Engagement) mô tả phạm vi của cuộc kiểm thử. Môi trường thi là một mạng công ty mô phỏng, có thể bao gồm nhiều phân đoạn mạng khác nhau, đòi hỏi kỹ năng pivoting để khám phá toàn bộ.⁵
Mục tiêu: Không chỉ đơn thuần là chiếm quyền root. Mục tiêu là thực hiện một cuộc kiểm thử xâm nhập toàn diện, tìm và báo cáo tất cả các lỗ hổng trong phạm vi đã cho. Việc chiếm được quyền root trên máy chủ quan trọng trong vùng DMZ được coi là điều kiện cần nhưng chưa đủ để đỗ.²⁹

3.2 Quy tắc Tham gia và Giới hạn Sử dụng Công cụ

Quy tắc về công cụ là một trong những điểm khác biệt rõ rệt nhất.

OSCP+ có những giới hạn rất nghiêm ngặt nhằm kiểm tra kỹ năng khai thác thủ công của thí sinh. Cụ thể, việc sử dụng các công cụ khai thác tự động và máy quét lỗ hổng thương mại bị cấm. Giới hạn nổi tiếng nhất là Metasploit Framework chỉ được phép sử dụng trên một máy mục tiêu duy nhất. Hơn nữa, nó không được sử dụng cho các kỹ thuật di chuyển ngang hoặc pivoting, vì điều đó sẽ vi phạm quy tắc “sử dụng trên nhiều hơn một mục tiêu”.²⁶

eCPPT, ngược lại, rất linh hoạt. Không có giới hạn cụ thể nào về việc sử dụng công cụ được đề cập. Thí sinh được tự do sử dụng bất kỳ công cụ nào họ cho là phù hợp, bao gồm cả Metasploit và các công cụ tự động hóa khác. Việc sử dụng thành thạo các công cụ như Metasploit, đặc biệt cho các cuộc tấn công đa tầng và pivoting, được coi là một phần của kỹ năng cần thiết.⁵

3.3 Tiêu chí Đánh giá và Yêu cầu Báo cáo Kỹ thuật

Yêu cầu về sản phẩm cuối cùng—báo cáo—cũng cho thấy sự khác biệt về mục tiêu đánh giá.

Đối với OSCP+, thí sinh có 24 giờ sau khi kết thúc phần thực hành để nộp báo cáo.²³ Báo cáo này phải là một tài liệu kỹ thuật chuyên nghiệp, ghi lại

chi tiết từng bước và từng lệnh đã được sử dụng để tấn công các máy mục tiêu, sao cho một người có chuyên môn kỹ thuật có thể tái tạo lại chính xác các cuộc tấn công đó. Báo cáo phải bao gồm ảnh chụp màn hình của các tệp chứng minh (local.txt và proof.txt) làm bằng chứng.²³

Đối với eCPPT, thí sinh có thêm 7 ngày để chuẩn bị báo cáo sau khi hoàn thành phần thực hành.²⁸ Yêu cầu không chỉ là một báo cáo kỹ thuật, mà là một

báo cáo kiểm thử xâm nhập cấp thương mại (commercial-grade). Báo cáo này phải có cấu trúc chuyên nghiệp, bao gồm các phần chính ⁵:

Tóm tắt cho Lãnh đạo (Executive Summary): Giải thích các phát hiện và rủi ro bằng ngôn ngữ phi kỹ thuật cho các nhà quản lý.
Báo cáo Lỗ hổng (Vulnerability Report): Mô tả chi tiết từng lỗ hổng, cách khai thác, mức độ ảnh hưởng và rủi ro.
Các bước Khắc phục (Remediation Steps): Đưa ra các khuyến nghị cụ thể để khách hàng vá các lỗ hổng.
Chất lượng của báo cáo, từ cách trình bày đến khả năng truyền đạt thông tin, là một phần quan trọng trong tiêu chí đánh giá.29

Cách tiếp cận của hai bài thi này cho thấy chúng đang đo lường hai bộ năng lực khác nhau. Bài thi OSCP, với áp lực thời gian cực lớn, quy tắc giới hạn công cụ và yêu cầu báo cáo tập trung vào bằng chứng kỹ thuật, về cơ bản là một bài kiểm tra kỹ năng (skill assessment). Nó được thiết kế để xác minh khả năng khai thác thủ công của một cá nhân dưới áp lực. Ngược lại, bài thi eCPPT, với thời gian dài, không giới hạn công cụ và yêu cầu báo cáo toàn diện như một sản phẩm giao cho khách hàng, thực chất là một bài mô phỏng công việc (job simulation). Nó đánh giá khả năng của một cá nhân trong việc quản lý và thực hiện một dự án pentest hoàn chỉnh, từ lập kế hoạch, tấn công đến báo cáo và tư vấn.

Bảng 3: So sánh Định dạng Bài thi Thực hành

Tiêu chí	OSCP+	eCPPT
Thời gian thực hành	23 giờ 45 phút	7 ngày (168 giờ)
Thời gian báo cáo	24 giờ	7 ngày (168 giờ)
Hình thức giám sát	Có giám sát (Proctored)	Không giám sát (Non-proctored)
Môi trường thi	3 máy độc lập + 1 hệ thống AD (3 máy)	Mạng công ty mô phỏng, nhiều phân đoạn, có phạm vi xác định
Mục tiêu chính	Đạt 70/100 điểm bằng cách chiếm quyền user/root	Thực hiện pentest toàn diện, báo cáo tất cả lỗ hổng
Giới hạn công cụ	Metasploit chỉ dùng trên 1 máy, cấm dùng cho pivoting	Không có giới hạn đáng kể, khuyến khích sử dụng các công cụ chuyên nghiệp
Yêu cầu báo cáo	Báo cáo kỹ thuật chi tiết các bước tấn công, có bằng chứng	Báo cáo cấp thương mại (Executive Summary, Vulnerabilities, Remediation)
Tiêu chí đánh giá	Điểm dựa trên số lượng cờ (flag) chiếm được	Kỹ năng kỹ thuật và chất lượng của báo cáo chuyên nghiệp

Phần 4: Phân tích Mô hình Đầu tư và Tiếp cận

Khía cạnh tài chính và các quyền lợi đi kèm là yếu tố quan trọng khi lựa chọn giữa hai chứng chỉ.

4.1 Cấu trúc Chi phí Đào tạo và Thi Chứng chỉ

OffSec (OSCP) áp dụng mô hình dựa trên các gói mua (bundle-based). Các lựa chọn phổ biến bao gồm ³¹:

Course & Cert Exam Bundle: Có giá $1,749, bao gồm 90 ngày truy cập vào khóa học PEN-200, môi trường lab và một (1) lượt thi OSCP.
Learn One Subscription: Có giá $2,749 mỗi năm, bao gồm một năm truy cập vào khóa học, lab và hai (2) lượt thi.
OffSec cũng cho phép mua riêng lẻ các lượt thi cho những người đã tự tin vào kiến thức của mình mà không cần khóa học.32

INE (eCPPT) sử dụng mô hình dựa trên đăng ký thuê bao (subscription-based). Để có thể mua voucher thi eCPPT, người dùng bắt buộc phải có một gói đăng ký INE Premium đang hoạt động.¹⁰

INE Premium Subscription: Có giá khoảng $749 mỗi năm.³³
eCPPT Exam Voucher: Sau khi có gói Premium, voucher thi được mua riêng với giá khoảng $399.³⁴
Tuy nhiên, một quyền lợi quan trọng của gói Premium là người dùng được giảm giá 50% cho một voucher thi bất kỳ mỗi năm, giúp giảm chi phí thực tế của voucher.³⁵ INE cũng thường xuyên cung cấp các gói kết hợp (bundle) như “eCPPT + 3 tháng Premium” với mức giá ưu đãi.³⁵

4.2 Quyền lợi Đi kèm và Thời gian Truy cập Tài nguyên

Với OffSec, khi mua một gói, người dùng nhận được quyền truy cập vào các tài nguyên cụ thể của khóa học đó (PEN-200), bao gồm tài liệu PDF, video, môi trường lab và diễn đàn học viên, trong khoảng thời gian đã mua (90 ngày hoặc 1 năm).¹¹

Với INE, giá trị của gói đăng ký Premium vượt xa khóa học PTP. Người đăng ký nhận được quyền truy cập vào toàn bộ thư viện nội dung của INE, bao gồm hơn 3500 giờ đào tạo trên nhiều lĩnh vực như Cybersecurity, Networking và Cloud, từ cấp độ cơ bản đến chuyên gia.⁴ Voucher thi eCPPT có hiệu lực trong 180 ngày kể từ ngày mua và bao gồm một lần thi lại miễn phí.¹⁰

Mô hình kinh doanh này cho thấy hai đề xuất giá trị khác nhau. OffSec về cơ bản đang bán một sản phẩm: một lộ trình học tập được xác định rõ ràng để đạt được chứng chỉ OSCP, một sản phẩm có giá trị cao và được công nhận rộng rãi. Trong khi đó, INE đang bán một dịch vụ: quyền truy-cập vào một nền tảng học tập liên tục và đa dạng. Chứng chỉ eCPPT trở thành một trong nhiều lợi ích của dịch vụ đó, là một cách để xác nhận kiến thức mà người dùng đã học được trên nền tảng. Lựa chọn giữa hai mô hình này phụ thuộc vào việc một cá nhân muốn đầu tư vào một chứng chỉ cụ thể hay đầu tư vào một nền tảng để phát triển kỹ năng liên tục trên nhiều lĩnh vực.

Phần 5: Tổng hợp các Điểm khác biệt Chính và Kết luận

Phần cuối cùng này tổng hợp các phân tích chi tiết từ các phần trước vào một bảng tóm tắt và đưa ra kết luận khách quan dựa trên dữ liệu.

5.1 Bảng tóm tắt so sánh tổng hợp

Bảng dưới đây cô đọng những điểm khác biệt cốt lõi giữa OSCP+ và eCPPT trên nhiều khía cạnh.

Bảng 4: Bảng tổng hợp các Điểm khác biệt Chính

Khía cạnh so sánh	OSCP+	eCPPT
Triết lý	“Try Harder” – Rèn luyện tư duy, kỹ năng thực chiến độc lập.	Có cấu trúc – Xây dựng nền tảng lý thuyết vững chắc, thực hành có định hướng.
Trọng tâm Syllabus	Tập trung vào các kỹ năng thực chiến phổ biến nhất, đặc biệt là Active Directory.	Phạm vi rộng, bao gồm cả các chủ đề nền tảng như Buffer Overflow, Pivoting và các lĩnh vực mở rộng như Wi-Fi.
Trải nghiệm Lab	Môi trường chia sẻ, “thù địch”, mô phỏng sự hỗn loạn thực tế.	Môi trường riêng biệt, có hướng dẫn và giải pháp, tập trung vào việc học một kỹ thuật cụ thể.
Thời lượng & Áp lực thi	Cực kỳ áp lực: 24 giờ, có giám sát, tập trung vào tốc độ và hiệu quả.	Ít áp lực hơn về thời gian: 7+7 ngày, không giám sát, tập trung vào sự toàn diện và phương pháp.
Yêu cầu Báo cáo	Báo cáo kỹ thuật chi tiết các bước khai thác để có thể tái tạo.	Báo cáo cấp thương mại, bao gồm cả tóm tắt cho lãnh đạo và khuyến nghị khắc phục.
Mô hình Chi phí	Dựa trên gói (Bundle), tập trung vào một khóa học và chứng chỉ.	Dựa trên đăng ký (Subscription), cung cấp quyền truy cập vào toàn bộ nền tảng học tập.
Loại hình chuyên gia	Đào tạo một “chuyên gia thực chiến” (operator) sắc bén.	Đào tạo một “nhà tư vấn/kiến trúc sư” (consultant/architect) toàn diện.

5.2 Kết luận dựa trên dữ liệu

Việc lựa chọn giữa OSCP+ và eCPPT không phải là câu hỏi “chứng chỉ nào tốt hơn một cách tuyệt đối”, mà là “chứng chỉ nào phù hợp hơn” với mục tiêu sự nghiệp, phong cách học tập, kinh nghiệm hiện có và ngân sách của từng cá nhân. Phân tích dữ liệu cho thấy hai chứng chỉ này được thiết kế để phục vụ các mục đích và đánh giá các bộ kỹ năng khác nhau.

OSCP+ là lựa chọn phù hợp cho những cá nhân:

Muốn có một chứng chỉ được công nhận rộng rãi nhất trong ngành, thường được xem là một tiêu chuẩn vàng cho các vị trí pentester.
Có khả năng học tập độc lập, yêu thích thử thách và triết lý “Try Harder”.
Muốn chứng minh năng lực kỹ thuật tấn công sắc bén, đặc biệt trong môi trường Active Directory, dưới áp lực thời gian cao.
Tập trung vào việc trở thành một chuyên gia thực thi (operator) hiệu quả trong các cuộc kiểm thử xâm nhập.

eCPPT là lựa chọn phù hợp cho những cá nhân:

Tìm kiếm một chương trình học có cấu trúc, với nền tảng lý thuyết sâu rộng và các bài thực hành có hướng dẫn chi tiết.
Muốn trải nghiệm một bài thi mô phỏng toàn bộ quy trình của một dự án kiểm thử xâm nhập thực tế, từ lập kế hoạch đến báo cáo.
Coi trọng kỹ năng viết báo cáo tư vấn và giao tiếp kết quả cho khách hàng ngang bằng với kỹ năng kỹ thuật.
Muốn đầu tư vào một nền tảng học tập toàn diện (INE) để phát triển kỹ năng liên tục trên nhiều lĩnh vực, không chỉ riêng pentest.

Tóm lại, OSCP+ kiểm tra khả năng thực thi kỹ thuật trong một kịch bản áp lực cao, trong khi eCPPT đánh giá khả năng thực hiện một dự án một cách có phương pháp và toàn diện. Cả hai đều là những chứng chỉ giá trị, và việc lựa chọn nên dựa trên sự tự đánh giá cẩn thận về con đường sự nghiệp mà một chuyên gia an ninh mạng mong muốn theo đuổi.